Qu'est-ce que HTTPS et SSL ? Comment fonctionnent les sites sécurisés, expliqué simplement

HTTPS est la version sécurisée de HTTP, le protocole que les navigateurs utilisent pour communiquer avec les sites web. Il enveloppe chaque requête et chaque réponse dans une connexion chiffrée grâce à TLS (Transport Layer Security), si bien que personne entre le visiteur et le site ne peut lire ni altérer ce qui est transmis. SSL est l'ancien nom de la même idée, le protocole original que TLS a remplacé : c'est pourquoi on parle encore de « certificat SSL ».

Pourquoi HTTPS compte quand on crée avec l'IA

Toute app que vous publiez doit être servie en HTTPS. Ce n'est pas seulement une bonne pratique :

• Les navigateurs l'exigent. Les sites en HTTP simple sont signalés comme « Non sécurisé », et certaines fonctionnalités du navigateur, comme l'accès à la position, à la caméra et au micro, ou les service workers des apps hors ligne, ne fonctionnent en général que sur les pages sécurisées (HTTPS).
• Connexions et formulaires. Sans HTTPS, les mots de passe, les cookies de session et les données de formulaire circulent en texte lisible. Toute personne sur le même Wi-Fi public pourrait potentiellement les intercepter.
• Paiements et services tiers. Les prestataires de paiement, la connexion OAuth et de nombreuses API exigent des URL de redirection et de rappel en HTTPS.
• Confiance et référencement. Les visiteurs remarquent l'avertissement, et Google a indiqué qu'il considère HTTPS comme un signal de classement.

Bonne nouvelle : sur la plupart des plateformes d'hébergement modernes, HTTPS est configuré automatiquement. Ce dont vous avez surtout besoin, c'est de comprendre les éléments assez bien pour corriger le problème lorsqu'un domaine personnalisé ou un avertissement de contenu mixte pose difficulté.

Une analogie du quotidien

Envoyer des données en HTTP simple, c'est comme envoyer une carte postale : chaque employé des postes qui la manipule peut la lire, et quelqu'un pourrait même modifier le message.

HTTPS, c'est une enveloppe scellée, qui révèle toute altération, et qui exige de vérifier d'abord la pièce d'identité du destinataire. Le certificat est cette pièce d'identité, délivrée par une autorité de confiance (l'autorité de certification) qui a vérifié que le site contrôle bien le domaine. Le chiffrement, c'est l'enveloppe scellée. La pièce d'identité prouve que vous écrivez à la bonne adresse ; l'enveloppe garde le contenu privé.

Comment fonctionne HTTPS, simplement

Lorsqu'un navigateur ouvre https://boutique.exemple.com :

1. Bonjour. Le navigateur se connecte et indique les méthodes de chiffrement qu'il prend en charge.
2. Certificat. Le serveur envoie son certificat, qui affirme « cette clé appartient à boutique.exemple.com » et est signé par une autorité de certification.
3. Vérification. Le navigateur contrôle la signature auprès des autorités qu'il connaît déjà, vérifie que le certificat n'a pas expiré et que le domaine correspond.
4. Clés. Le navigateur et le serveur conviennent d'une clé secrète neuve pour cette session, sans jamais l'envoyer à découvert.
5. Échange chiffré. Toutes les requêtes et les réponses (pages, données de formulaire, cookies) circulent désormais chiffrées.

Cette négociation TLS prend quelques millisecondes et se déroule automatiquement. Le visiteur voit simplement le cadenas (ou, dans certains navigateurs, une icône neutre d'informations sur le site).

Ce que HTTPS protège et ce qu'il ne protège pas

HTTPS chiffre le contenu des requêtes, y compris le chemin de la page et la chaîne de requête. Mais le nom de domaine que vous visitez reste généralement visible pour les réseaux traversés. C'est une raison de plus de ne jamais mettre de données personnelles dans les URL : elles finissent aussi dans les journaux et l'historique du navigateur.

Un exemple concret : relier un domaine personnalisé

Imaginons que vous publiez une app de réservation et souhaitez l'afficher sur reserver.monstudioyoga.com :

1. Vous ajoutez un enregistrement DNS qui pointe reserver.monstudioyoga.com vers votre hébergeur. Voir comment fonctionnent les domaines et le DNS.
2. L'hébergeur prouve à une autorité de certification qu'il contrôle ce nom, généralement en répondant à un défi sur ce domaine, et reçoit un certificat.
3. L'hébergeur installe le certificat et le renouvelle automatiquement avant son expiration. Les certificats ont volontairement une courte durée de vie, d'où l'importance du renouvellement automatique.
4. Les visiteurs qui arrivent sur http://reserver.monstudioyoga.com sont redirigés vers https://.

Si l'étape 1 est fausse (l'enregistrement pointe ailleurs, ou un proxy se trouve entre les deux), l'étape 2 peut échouer et les visiteurs voient une erreur de certificat. C'est le problème HTTPS le plus fréquent lorsqu'on relie un domaine personnalisé.

Termes clés

Idées fausses courantes

• « Le cadenas signifie que le site est digne de confiance. » Il signifie que la connexion est privée et que le domaine correspond. Les escrocs obtiennent aussi des certificats.
• « HTTPS n'est utile que pour les pages de paiement. » Toute page avec une connexion, un formulaire ou un cookie en a besoin, ce qui concerne presque toutes les apps. Utilisez-le partout.
• « Les certificats coûtent cher. » Les certificats gratuits et reconnus sont la norme, et la plupart des hébergeurs les gèrent pour vous.
• « HTTPS rend mon app sûre. » Il sécurise la connexion. Votre app a toujours besoin de contrôles des droits côté serveur, d'une gestion sûre des secrets et de la validation des saisies. Voir la liste de contrôle de sécurité pour les apps créées avec l'IA.
• « HTTPS ralentit les sites. » TLS moderne ajoute très peu de surcharge, et les fonctionnalités qui accélèrent les sites, comme HTTP/2, exigent généralement HTTPS dans les navigateurs.

Résoudre les problèmes HTTPS courants

Que demander à votre créateur d'apps IA

• « Assure-toi que chaque image, script et police se charge en HTTPS ou via une URL relative, sans lien http://. »
• « Redirige tout le trafic HTTP vers HTTPS. »
• « Configure les cookies de session avec les attributs Secure et HttpOnly. »
• « Utilise https:// pour chaque URL de rappel OAuth, de paiement et de webhook. »
• « Mon domaine personnalisé affiche une erreur de certificat : quel enregistrement DNS l'hébergeur attend-il ? »

HTTPS dans Mythex

Lorsque vous reliez un domaine personnalisé sur Mythex (fonctionnalité Pro), vous ajoutez un enregistrement CNAME pointant vers la cible slug.mythex.ai indiquée par Mythex, cliquez sur Vérifier, et Mythex délivre automatiquement le HTTPS pour le domaine. La documentation couvre les deux difficultés les plus fréquentes : si votre DNS est chez Cloudflare, réglez l'enregistrement sur « DNS seul » (nuage gris) plutôt que proxifié, pour que Mythex puisse délivrer le certificat ; et le DNS peut être validé avant que HTTPS soit entièrement configuré, donc attendez quelques minutes puis vérifiez à nouveau. Voir domaines personnalisés dans la documentation, et notre guide relier un domaine personnalisé.

Questions